为Ghost配置HTTPS
更新：
9/12/2017： 取消注释http端口，http链接自动转跳https
自HTTPS诞生以来，是否采用HTTPS还是停留HTTP的争议就没有中断。网站不采用HTTPS的原因主要分为三点：
- HTTPS需要CA（Certificate Authority）签发证书，而各CA签发证书需要的费用不菲。
- 一旦采用HTTPS，过去使用HTTP的资源可能无法读取（例如图片）。
- HTTPS较HTTP慢。
针对以上几点，现时其实均有很好的解决方案。而且经过数年发展，各大网站也都使用HTTPS，使用HTTPS的好处主要为两点：
- 更加安全，HTTPS链接不怕被网络服务商劫持，例如加插弹窗广告。（右下角的广告就是）：
- SEO优化，搜索引擎会为采用HTTPS的网址额外加分，例如Google。
考虑到以上几点，作者建议所有Ghost使用者应在尽早改用HTTPS，免去日后HTTP搬迁HTTPS的麻烦。
Ghost配置HTTPS的流程十分简单，只需要：
- 安装certbot
- 更改nginx配置
- 自动更新CA证书
- 更改Ghost的HTTP链接（可选）
1. 安装certbot
以上提及使用HTTPS需要向CA申请SSL证书，SSL证书分为3种等级，等级越高，申请时间和费用越高：
- 域名验证(DV)
- 组织验证(OV)
- 扩展验证(EV)
每个网站应根据自身需求申请证书。如同作者一样，是为Ghost博客申请SSL证书的话，最低级的DV验证即可。
(有关SSL内容，有兴趣请查阅wiki)
为了推广HTTPS，消除申请证书的复杂步骤和金钱，Let’s Encrypt组织于2015年诞生。该组织致力于推广互联网的加密连接，为网站提供免费的SSL证书。该组织的赞助商包括Mozilla， CISCO， Chrome， EFF等互联网和网络安全巨头。
作者正式使用该组织派发的SSL证书实现HTTPS。现时不少CA也提供免费SSL证书服务，读者可自行选择。
而EFF作为Let’s Encrypt的主要赞助，也推出certbot进一步方便网站建立HTTPS链接。过程十分简单：
- 登入certbot官网
- 选择自身使用的软件和操作系统。(作者使用的是nginx和ubuntu 16.04)
- 选择后将自动转跳到安装指南。
作者将演示一遍nginx和ubuntu 16.04的安装过程，不同配置过程会有所不同。
$ sudo apt-get update
$ sudo apt-get install software-properties-common
$ sudo add-apt-repository ppa:certbot/certbot
$ sudo apt-get update
$ sudo apt-get install python-certbot-nginx
这几步只需要跟着做就可，不会发生问题。（可能有些机器已经安装software-properties-common，照做无妨）
2. 更改nginx配置
理论上跟着官网流程，接下去只需要输入
sudo certbot --nginx
即可完成SSL配置，但是作者发现ubuntu 16.04会普遍发生这种问题：
Could not open file: /etc/nginx/sites-enabled/default
经调查，更改nginx的配置文件即可解决问题
在nginx根目录中（作者的nginx根目录为/etc/nginx），将nginx.conf的这行
include /etc/nginx/sites-enabled/*;
改为
include /etc/nginx/sites-enabled/*.*;
然后重新输入
sudo certbot --nginx
完成SSL配置，配置过程中certbot会询问邮箱，使用域名，以及是否强制将HTTP链接转为HTTPS。（邮箱之后会有Email认证，同时建议强制将HTTP转为HTTPS）
之后打开/etc/nginx/sites-enabled/目录下的网址conf文件（xxxx.conf)，会多了以下几行：
listen 443 ssl; # managed by Certbot
ssl_certificate /etc/letsencrypt/live/www.codeproducers.com/fullchain.pem; # managed by Certbot
ssl_certificate_key /etc/letsencrypt/live/www.codeproducers.com/privkey.pem; # managed by Certbot
include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot
if ($scheme != "https") {
return 301 https://$host$request_uri;
} # managed by Certbot
自此HTTPS配置成功。
（作者著：Certbot只是添加了这几行，之前HTTP的接口并没有关闭。如果读者不需要保留HTTPS接口，需要自行注释前面并将代码移位，如图）（由于输入网址后，游览器会默认使用http链接，一旦关闭http接口，很大机会会出现网页不存在的错误，所以不建议关闭http接口，certbot自带的代码会自动将http连接转https。）
将certbot添加的代码略作修改（可选，作者使用了http2，第二行代码是接收ipv6的访问，需要添加‘ipv6only=on default_server’这个后续，否则有些版本的nginx会产生ipv4和ipv6冲突的问题，访问会无限循环。）
listen 443 ssl http2 default_server;
listen [::]:443 ssl http2 ipv6only=on default_server;
（作者最终版本的nginx配置，根据读者选择，可能和读者的版本有所不同）
2.1 使用HTTP2 （可选）
另外，使用HTTPS本身较HTTP慢，建议使用http2取代（原因参考这篇文章）。方法十分简单，只需要添加http2字眼即可：
listen 443 ssl http2; # managed by Certbot
listen [::]:443 ssl http2;
3. 自动更新CA证书
现时网址已经采用HTTPS链接了，但是事情尚未解决，由Let’s Encrypt所发出的证书仅有90日有效期。所以，还需要编写脚本来自动更新证书。
首先可运行这指令测试certbot能否更新证书：
sudo certbot renew --dry-run
出现Congratulations等则证明测试成功，接下来需要编写脚本。两种方法：
- 直接修改crontab文件
- 建立script然后修改crontab文件
3.1 直接修改crontab文件：
输入command
sudo crontab -e
然后修改crontab文件，加入以下几行：
0 0 * * * certbot renew --force-renewal
5 0 * * * service nginx restart
0 0 * * * 是crontab的时间指令，五位数分别代表分，时，日，月，星期，* 代表每次。
（图片来自 http://www.cnblogs.com/xiaohaillong/p/6102697.html ）
0 0 * * * 就是每日0点0分执行指令，5 0 * * * 则是每日0点5分执行指令。（预留5分钟时间更新证书）
保存修改就大功告成。
3.2 建立script然后修改crontab文件
在/root目录建立新文件，命名为letsencrypt.sh，文件内容为：
#!/bin/bash
systemctl reload nginx
# 如果有其他进程也使用该证书:
# systemctl restart mosquitto
保存文件，然后更改该文件的使用权限：
chmod +x /root/letsencrypt.sh
输入指令：
sudo crontab -e
修改crontab文件，加入一行：
20 3 * * * certbot renew --noninteractive --renew-hook /root/letsencrypt.sh
（每日3点20分更新证书，然后执行script文件重启nginx）
保存修改就大功告成。
4. 更改Ghost的HTTP链接（可选）
（可选）自此GHOST已换上HTTPS，但不排除在ghost.conf上使用的还是HTTP的链接。
更改为（作者著：这方法不会更改ghost的@blog.url，url还是原来的HTTP链接。由于ghost内部link都是根据blog.url做扩展，很大几率会从https连去http的链接，所以不建议使用）：
或者改为（建议）：
之后后请记得更改Design->Navigation的链接。否则所有HTTP链接都不可用，会返回Page Not Found的错误。
参考：